【緊急】UpdraftPlus利用者へ　接続キー流出・アクセス権000を確認

2026年10月、UpdraftPlusの開発元であるTeamUpdraftが不正アクセスを受けました。TeamUpdraftの公式発表によると、顧客・アカウント情報と、UpdraftCentralなどの接続キーが影響を受けた可能性があります。

出典：TeamUpdraft公式発表
https://teamupdraft.com/blog/security-incident-october-2026/

TeamUpdraftアカウントを持つ方と、クラウド版UpdraftCentral、UpdraftVault、UpdraftCloneの利用者が確認対象です。TeamUpdraftアカウントを持たない無料版UpdraftPlus利用者は、公式発表では特別な対応を求められていませんが、最新版への更新は推奨されています。

今すぐ行うことは、次の3つです。

・TeamUpdraftアカウントのパスワードを変更し、2段階認証を使用している場合は再設定します。

・UpdraftPlusを更新し、古いUpdraftCentral接続キーを削除します。

・覚えのないプラグイン、ユーザー、不自然な権限が追加されていないか確認します。

UpdraftPlusが突然無効化され、「プラグイン updraftplus/updraftplus.php はエラーにより無効化されました: プラグインファイルが存在しません。」と表示された場合や、ファイルのアクセス権が000になっている場合は、アクセス権の変更や再インストールを急がず、最初に状態を記録してください。

アクセス権000は、筆者がエックスサーバーの管理現場で確認した症状です。エックスサーバーの発表には、今回の事故によってアクセス権が000へ変更されたとの記載はありません。今回の事故との関係があるという見方は、筆者の経験に基づく予測であり、原因は確認できていません。

「プラグイン updraftplus/updraftplus.php はエラーにより無効化されました」と表示された場合

次のエラーが表示される場合があります。

「プラグイン updraftplus/updraftplus.php はエラーにより無効化されました: プラグインファイルが存在しません。」

この表示だけでは、今回の不正アクセスを受けたとは断定できません。WordPressは、登録された場所にプラグインのメインファイルが存在しないと判定した場合に、このエラーを表示します。ファイルの削除、名前や保存場所の変更、不完全な更新などを確認します。アクセス権000との直接の関係は確認できていないため、別の問題として調べます。

出典：WordPress公式のプラグイン確認処理
https://developer.wordpress.org/reference/functions/validate_plugin/

アクセス権が000とは、通常の利用者に読み取り・書き込み・実行を許可しない設定です。GNU Coreutilsの説明でも、000はすべての権限を許可しない数値として示されています。

出典：GNU Coreutils「Numeric Modes」
https://www.gnu.org/s/coreutils/manual/html_node/Numeric-Modes.html

アクセス権をすぐに戻したり、UpdraftPlusを上書きしたりすると、原因を調べるための記録が失われる場合があります。最初に次の情報を残してください。

1．表示されたエラー全文を記録します。

2．アクセス権が000になっているファイルまたはフォルダ名を記録します。

3．ファイルの更新日時を記録します。

4．覚えのないプラグイン、ユーザー、不自然な権限の有無を確認します。

5．サーバーのアクセスログとエラーログを保存します。

記録を残したうえで、UpdraftCentralの接続キーが登録されていないか確認します。管理画面へ入れない場合や判断できない場合は、専門家にご依頼ください。

不正アクセスで影響を受けた可能性がある2種類の情報

TeamUpdraftの公式発表によると、影響を受けた可能性がある情報は、大きく2種類です。

出典：TeamUpdraft公式発表
https://teamupdraft.com/blog/security-incident-october-2026/

1．TeamUpdraftアカウントと顧客情報

対象は、氏名、メールアドレス、請求先住所、購入履歴、ハッシュ化されたパスワード、2段階認証の設定です。パスワードそのものが平文で保存されていたわけではありません。

TeamUpdraftアカウントを持っている方は、パスワードを変更してください。同じパスワードをほかのサービスでも使っている場合は、そちらも変更します。2段階認証を使っている場合は再設定が必要です。

クレジットカード情報はTeamUpdraftに保存されておらず、今回の対象には含まれていません。

2．UpdraftCentralなどの接続キー

対象は、UpdraftCentral、UpdraftVault、UpdraftCloneの接続キーです。

このうちUpdraftCentralの接続キーは、接続先のWordPressへ管理命令を送るための情報です。Patchstackの調査報告では、流出したキーを使い、不正なプラグインを設置する攻撃が確認されています。XServerも利用者向けに注意を呼びかけています。

出典：Patchstackの調査報告
https://patchstack.com/articles/updraftcentral-key-compromise-wordpress-backdoors/

出典：XServerの注意喚起
https://business.xserver.ne.jp/news/detail.php?view_id=19722

UpdraftCentralの接続キーがあるサイトは、アカウントのパスワード変更だけでは足りません。UpdraftPlusの更新、古い接続キーの削除、不審なプラグインとユーザーの確認が必要です。

UpdraftVaultはTeamUpdraft側で接続が解除されているため、利用者による再接続が必要です。UpdraftCloneの接続キーはTeamUpdraft側で交換されています。

UpdraftPlus本体と配布ファイルは影響を受けていません。Google Driveなど利用者自身の保存先も、今回の不正アクセスによる直接の影響は受けていないとTeamUpdraftは説明しています。

TeamUpdraftアカウントと接続キーは別のものです

TeamUpdraftアカウントは、teamupdraft.comへログインするためのアカウントです。

UpdraftCentralの接続キーは、外部からWordPressを管理するために、各サイトへ登録される情報です。

ただしPatchstackは、WordPressからTeamUpdraftアカウントへ接続する画面で「このサイトをUpdraftCentralへ追加する」が初期状態で選ばれていたと報告しています。そのまま接続すると、UpdraftCentralを使った覚えがなくても接続キーが作られる場合があります。

そのため、WordPressのUpdraftPlusからTeamUpdraftアカウントへ接続したことがある方は、パスワード変更だけで終わらせず、WordPress側に接続キーが残っていないか確認してください。

WordPress側に接続キーがあるか確認してください

WordPressの管理画面で、次の場所を開きます。

「UpdraftPlus」→「高度なツール」→「UpdraftCentral」

「既存のキーを管理」や接続キーの件数が表示されていれば、そのWordPressにはクラウド版UpdraftCentralの接続キーが登録されています。

表示が分からない場合や管理画面へ入れない場合は、専門家にご依頼ください。

自己でサーバーに設置して使うセルフホスト版UpdraftCentralは、TeamUpdraftの発表では今回の対象外です。

接続キーがあった場合に行うこと

1．UpdraftPlusを無料版1.26.13、Premium版2.26.13以降へ更新します。

2．UpdraftCentral画面に残っている古い接続キーを削除します。

3．覚えのないプラグイン、全ユーザー、不自然な権限が追加されていないか確認します。

4．TeamUpdraftアカウントとWordPress管理者のパスワードを変更します。

5．TeamUpdraftで2段階認証を使っている場合は再設定します。

TeamUpdraftは、1.26.13／2.26.13で古い接続キーを失効させたと発表しています。ただし、更新前に不正な変更を受けていなかったことまでは確認できません。更新後も、プラグインとユーザーの一覧を確認してください。

覚えのないプラグインやユーザーが見つかった場合は、すぐに削除する前に、名前、保存場所、更新日時、サーバーログを残してください。削除によって調査に必要な記録が消える場合があります。

UpdraftCentral経由で侵入されていないか確認する例

Patchstackの調査報告を基に、次の項目を確認します。

出典：Patchstackの調査報告
https://patchstack.com/articles/updraftcentral-key-compromise-wordpress-backdoors/

・プラグイン一覧とmu-pluginsに、覚えのないプラグインがないか確認します。

・プラグインの説明に「Small maintenance toolkit: keeps option storage tidy.」と書かれたものがないか確認します。

・全ユーザーを確認し、「編集者」と表示されていても、プラグインのインストールや設定変更ができる不自然な権限を持つユーザーがいないか確認します。

・UpdraftCentralの操作履歴に「probe.central.updraftplus.com」や「Command received: plugin.upload_plugin」が記録されていないか確認します。

・アクセスログに、管理作業と一致しないプラグイン追加や不審なアクセスがないか確認します。

いずれかが見つかった場合は、サイトが侵入された可能性があります。証拠を残さずに削除すると調査できなくなるため、専門家へご依頼ください。

Google Drive以外のバックアップ保存先も確認してください

Google Driveへのバックアップ保存と、UpdraftCentralによるWordPress管理は別の接続です。

TeamUpdraftは、Google Drive、Dropbox、Amazon S3など利用者自身の保存先は、今回の不正アクセスによる直接の影響を受けていないと説明しています。

ただし、UpdraftCentral経由でWordPressへ侵入された疑いがある場合は、保存先の認証情報も確認します。再認証だけでよいかは、保存先の認証方式によって異なります。

保存先・認証方式	必要な対応
Google Drive・Dropbox・OneDriveなどの認証画面で接続する方式	保存先側でUpdraftPlusの連携を解除し、WordPressから再接続します。
Amazon S3・S3互換サービスなどのアクセスキー方式	新しいアクセスキーを発行し、UpdraftPlusへ設定します。新しいキーでバックアップできることを確認後、古いキーを無効化・削除します。
FTP・WebDAVなどのパスワード方式	保存先のパスワードを変更し、UpdraftPlusの設定も更新します。
SFTP・SCPのパスワード方式	接続用パスワードを変更し、UpdraftPlusの設定も更新します。
SFTP・SCPのSSH鍵方式	新しい鍵を発行して設定し、接続確認後に古い鍵を削除します。
UpdraftVault	TeamUpdraft側ですでに切断されているため、新しいTeamUpdraftパスワードで再接続し、手動バックアップで確認します。

Google Driveなどの再接続手順は、TeamUpdraftの説明を参照してください。Amazon S3などのアクセスキー方式は、再認証だけでは古いキーを無効化できません。保存先側で新しいキーを発行し、古いキーを停止する必要があります。

出典：TeamUpdraftのバックアップ保存先再接続手順
https://teamupdraft.com/docs/updraftplus/backing-up/how-to/how-to-fix-updraftplus-failed-backups/

よくある質問

TeamUpdraftアカウント情報だけが漏れた場合、WordPressへ直接影響しますか？

UpdraftCentral接続キーがなく、TeamUpdraftとWordPressで同じパスワードを使用していなければ、アカウント情報だけでWordPressを直接操作することはできません。ただし、WordPressからTeamUpdraftアカウントへ接続したことがある場合は、UpdraftCentral接続キーが作られていないか確認してください。

UpdraftCentralを使った覚えがなくても確認は必要ですか？

WordPressからTeamUpdraftアカウントへ接続したことがある場合は必要です。接続画面の初期設定により、UpdraftCentralの接続キーが作られている可能性があります。

「プラグインファイルが存在しません」は侵入された証拠ですか？

いいえ。この表示だけでは侵入を断定できません。ファイルの削除、名前や保存場所の変更、不完全な更新なども確認してください。

アクセス権000は今回の事故が原因ですか？

確認できていません。筆者の管理現場ではアクセス権000を確認しましたが、今回の事故との関係があり、サーバー会社が対応したという見方は筆者の経験に基づく予測です。

無料版UpdraftPlusも確認が必要ですか？

無料版でもUpdraftCentral接続キーが登録されている場合は確認が必要です。TeamUpdraftアカウントを持たず、接続キーもない無料版利用者には、公式発表で特別な対応は求められていませんが、最新版への更新は推奨されています。

Google DriveやDropboxのバックアップも漏れましたか？

TeamUpdraftは、利用者自身の保存先は今回の不正アクセスによる直接の影響を受けていないと説明しています。ただし、UpdraftCentral経由でWordPressへ侵入された可能性がある場合は、保存先の認証情報も交換します。

バックアップ保存先は再認証だけで安全になりますか？

認証方式によって異なります。Google Driveなどは保存先側で連携を解除してから再接続します。Amazon S3などのアクセスキー方式は、新しいキーを発行し、接続確認後に古いキーを無効化・削除してください。

UpdraftPlusを最新版へ更新すれば対応完了ですか？

いいえ。更新前に侵入されていなかったことまでは確認できません。古い接続キー、覚えのないプラグイン、全ユーザーの権限、UpdraftCentralの操作履歴、アクセスログも確認してください。

まとめ

・TeamUpdraftアカウントとUpdraftCentral接続キーは、同じものではありません。

・影響を受けた可能性がある情報は、顧客・アカウント情報と、各サービスの接続キーの2種類です。

・TeamUpdraftアカウントを持っている方はパスワードを変更し、2段階認証を使用している場合は再設定します。

・UpdraftVaultは再接続が必要です。UpdraftCloneの接続キーは、TeamUpdraft側で交換されています。

・WordPressからTeamUpdraftアカウントへ接続した場合は、UpdraftCentralの接続キーが作られている可能性があるため確認します。

・接続キーがあれば、UpdraftPlusの更新、キーの削除、プラグインとユーザーの確認を行います。

・セルフホスト版UpdraftCentralは、今回の対象外です。

・「プラグインファイルが存在しません」という表示だけでは、攻撃を受けた証拠にはなりません。

・アクセス権000と今回の事故の関係は確認されていません。関係があるという見方は、筆者の経験に基づく予測です。

本サービスの責任者：CreativeStudio樂・前田美知太郎

WordPressは2007年から実務で扱い始め、当時はMovable Typeが主流の中で運用・構築の経験を積む。インターネットプロバイダーのインフラエンジニア出身。サーバー・ネットワーク・セキュリティの基礎を現場で習得し、警察へのログ提出やログ整合性の確認など証跡管理の実務経験を有する。

WordPress構築・サーバー設計・マルウェア復旧・セキュリティ対策を中心に実務に従事。現在はAWS・各種VPS環境でのインフラ構築、CloudflareによるCDN・WAF運用、ログ解析や攻撃分析を含む実践的なセキュリティ対応を行っている。

WordPressの障害復旧は1,400件以上の対応実績。守秘義務契約（NDA）により詳細は公開不可だが、公的機関・教育機関・金融系・観光関連・放送関連のサーバーおよびセキュリティ設計・構築に従事。

個人から上場企業、大学・教育機関、IOC参加団体、制作会社など幅広い領域の改ざん・マルウェア感染復旧に対応。初動対応から復旧までを担当。

近年は悪意あるBOTの挙動データの収集・分析を行い、検知・対策への活用にも取り組む。独立行政法人情報処理推進機構（IPA）セキュリティプレゼンター、デジタル庁デジタル推進委員としても活動。詳しいプロフィール・会社概要はこちら / WordPress.org公開開発者プロフィールはこちら